Resumo Técnico: Jiao: Conectando Isolamento e Personalização em Robótica de Mista Crítica

Declaração do Problema

A robótica de consumo e industrial está cada vez mais consolidando o controle crítico para segurança, pipelines de percepção e aplicações de usuário em plataformas compartilhadas de Sistema em Chip (SoC) multicore para atender a restrições de custo, peso e energia. Embora hipervisores de partição estática (comuns na indústria automotiva e aeroespacial) ofereçam isolamento imposto por hardware, transplantar diretamente essas arquiteturas para a robótica encontra um problema de assimetria de expertise.

Nas arquiteturas tradicionais de Unidade de Controle Eletrônico (ECU) automotiva, as configurações são fixadas na fabricação por engenheiros com conhecimento completo do sistema. Em contraste, robôs industriais exigem cada vez mais adaptação em tempo de execução por meio de pendentes de ensino, calibração guiada por visão e ajuste conectado à nuvem. Integradores de sistema frequentemente modificam parâmetros relevantes para segurança (por exemplo, ganhos de servos, limites de força) sem possuir o conhecimento de sistemas de baixo nível necessário para gerenciar protocolos entre partições ou agendamento em tempo real. As soluções existentes falham em abordar essa combinação:

• Partição estática fornece isolamento espacial, mas deixa a integridade dos dados e a complexidade dos protocolos para o software de aplicação.
• Extensões Linux em tempo real (por exemplo, PREEMPT RT, Xenomai) melhoram o agendamento temporal, mas carecem de isolamento espacial, deixando os loops de controle vulneráveis a interferências de cargas de trabalho de percepção competindo por cache, largura de banda de memória e margem térmica.
• Protocolos de segurança de barramento de campo assumem pontos finais confiáveis e configurações fixas, não personalização dinâmica e pós-implantação por usuários não especialistas.

Essa lacuna cria um risco onde corrupção numérica em redes de percepção ou atualizações de parâmetros não validadas podem escalar para perigos físicos, como movimento errático ou torque não intencional.

Metodologia

Os autores apresentam o JIAO, uma arquitetura construída sobre o hipervisor de partição estática Jailhouse. O JIAO não propõe um novo hipervisor, mas reestrutura a fronteira da partição como uma interface de segurança. O sistema visa manipuladores colaborativos, plataformas móveis e sistemas de montagem multieixo.

A arquitetura divide o sistema em três domínios:

1. Domínio Não-RT: Uma célula raiz Linux executando ROS 2 e aplicações de usuário.
2. Domínio RT: Um "inmate" bare-metal executando loops de controle determinísticos (por exemplo, controle de servo a 1 kHz) com acesso direto ao barramento de campo.
3. Célula de IO Segura: Uma partição de segurança dedicada atuando como uma autoridade de segurança independente.

O JIAO integra três subsistemas-chave para conectar a fronteira de isolamento:

1. Célula de IO Segura (Substituição no Nível de Hardware)

Este componente reside em uma partição dedicada com controle direto de hardware sobre interfaces de segurança de atuadores (habilitadores de motor, relés de freio, circuitos de parada de emergência). Opera independentemente do controlador principal, monitorando:

• Sinais de Vida (Heartbeats): Tempos limite configuráveis para detectar partições de controle não responsivas.
• Envelope de Comandos: Verificação de limites em valores comandados.
• Transições de Estado de Segurança: Governa transições entre operação normal, modos degradados e estados seguros.
  Crucialmente, pode forçar atuadores a configurações de falha segura (por exemplo, acionando freios) independentemente do estado do caminho de controle principal.

2. Serviço de Sincronização de Parâmetros (PSS)

Para abordar a assimetria de expertise, o PSS encapsula a complexidade entre domínios atrás de uma API estilo ROS familiar.

• Fluxo de Trabalho: Aplicações declaram tipos e limites de parâmetros via APIs padrão. O serviço valida atualizações, protege-as com a Camada de Comunicação de Segurança e aplica-as atomicamente dentro do Domínio RT.
• Mecanismo: Atualizações são empacotadas com metadados, passadas para um codificador e escritas em um canal de memória compartilhada (ivshmem). Uma interrupção de campainha notifica o Domínio RT, que valida e aplica ou rejeita a atualização.
• Segurança: Se uma atualização falhar na validação, o Domínio RT continua usando os parâmetros conhecidos como bons, e o lado Não-RT tenta novamente.

3. Camada de Comunicação de Segurança (SCL)

A SCL implementa verificação de pontos finais alinhada à IEC 61508 para todo o tráfego entre domínios, tratando a memória compartilhada como um "canal negro".

• Mecanismos de Integridade: Cada mensagem inclui uma soma de verificação CRC-32C, um número de sequência monótono e um carimbo de tempo.
• Tratamento de Falhas: O sistema suporta degradação progressiva. Anomalias transitórias acionam avisos, enquanto falhas sustentadas (por exemplo, ataques de replay, dados desatualizados, perda) acionam transições para estados restritos ou paradas seguras.
• Cobertura: Esta camada aborda modos de falha como corrupção, duplicação, reordenação e atraso, que a partição estática sozinha não pode prevenir.

Contribuições Principais

1. Célula de IO Segura: Uma autoridade de segurança independente em uma partição dedicada que supervisiona sinais de vida e envelopes de comandos, mantendo capacidade de substituição no nível de hardware para circuitos de segurança críticos.
2. Serviço de Sincronização de Parâmetros: Um mecanismo que permite a integradores modificar o comportamento do robô via APIs de alto nível sem gerenciar protocolos entre partições, layouts de memória compartilhada ou detalhes de agendamento em tempo real.
3. Camada de Comunicação de Segurança: Uma camada de verificação alinhada à IEC 61508 que fornece CRC, numeração de sequência e validação de frescor, permitindo personalização segura entre domínios.

Resultados

Os autores avaliaram o JIAO em um Processador Heterogêneo D9340 (4× núcleos de aplicação ARM Cortex-A55 + núcleo R em tempo real dedicado) executando um loop de controle EtherCAT a 1 kHz para um manipulador de 6 graus de liberdade (6-DOF). Eles compararam uma linha de base (cargas de trabalho de percepção concorrentes) contra a configuração isolada por partição.

• Redução de Jitter: O isolamento por partição reduziu o desvio padrão do jitter do período do ciclo em 84,5% (de 12,58 µs para 1,95 µs).
• Eliminação de Risco de Cauda: O jitter absoluto no percentil 99 ($p99$) caiu de 69,0 µs para 7,8 µs (uma melhoria de 8,8×).
• Excursões de Pior Caso: A excursão máxima de jitter diminuiu de 321,5 µs para 32,8 µs.
• Excursões Grandes: A linha de base exibiu 24.442 excursões grandes ($|jitter| > 50$ µs), representando 2,04% dos ciclos. A configuração isolada exibiu zero tais excursões.
• Estabilidade Temporal: O coeficiente de variação melhorou de 1,26% para 0,20%, uma melhoria de 6,4× na precisão de temporização.

Significado e Alegações

O artigo alega que a contribuição principal do JIAO não é meramente a redução do jitter de temporização, mas a provisão de uma arquitetura que governa a personalização entre partições com segurança. Ao co-projetar configuração de hipervisor, protocolos de comunicação e substituições no nível de hardware, o JIAO permite a consolidação de cargas de trabalho de mista crítica em hardware compartilhado sem sacrificar as garantias de isolamento anteriormente fornecidas pela separação física.

Os autores enfatizam que sua solução aborda especificamente a "assimetria de expertise" onde integradores não especialistas devem modificar parâmetros críticos para segurança. O sistema garante que tais modificações sejam validadas, atômicas e protegidas por verificações de integridade, prevenindo a propagação de corrupção de dados de pipelines de percepção para atuadores físicos. A avaliação demonstra que essa abordagem elimina jitter de cauda pesada e grandes excursões de temporização que ameaçam a estabilidade de controle em ambientes de recursos compartilhados.